Dominio de diseño operativo: el límite de la automatización
Un dominio de diseño operativo, u ODD, es el conjunto completo de condiciones viales, geográficas, de velocidad, ambientales, de tráfico y de otro tipo para las que está diseñada una función de conducción automatizada. Ninguna afirmación sobre los niveles 2, 3 o 4 resulta significativa sin ese límite.
Qué contiene un ODD
ISO 34503 proporciona una taxonomía para definir el ODD de los sistemas de conducción automatizada. Una descripción útil puede incluir:
- Geografía: país, ciudad, zona de servicio, geovalla o red viaria aprobada.
- Estructura vial: autopista, calzada dividida, calle urbana, ruta fija, aparcamiento, carriles y tipos de intersecciones.
- Velocidad: velocidad admitida del vehículo y condiciones pertinentes de velocidad del tráfico.
- Entorno: lluvia, nieve, niebla, temperatura, estado de la calzada, luz diurna y visibilidad.
- Tráfico: congestión, usuarios vulnerables de la vía, tráfico en sentido contrario o restricciones de acceso.
- Infraestructura: marcas viales, señales, barreras, zonas de obras, túneles, peajes y supuestos de conectividad.
- Estado del vehículo: limpieza de los sensores, estado de los neumáticos, calidad de la localización y sistemas de respaldo disponibles.
La lista es específica de cada función. Un sistema para atascos en autopista y un robotaxi urbano afrontan condiciones distintas y necesitan definiciones de dominio diferentes.
El dominio es multidimensional
Una función no tiene un único límite de alcance. Puede estar aprobada en una autopista, pero no al atravesar una zona de obras; por la noche, pero no con lluvia intensa; por debajo de cierta velocidad con tráfico fluido, pero no en una cola detenida; o en un distrito cartografiado, excepto en las vías con cierres aún sin resolver.
La pregunta pertinente es si se cumplen simultáneamente todas las condiciones exigidas. Un vehículo puede estar geográficamente dentro de su zona de servicio y, aun así, fuera de su ODD porque hayan cambiado la visibilidad, el estado de la calzada o el funcionamiento de los sensores.
Por ello, un ODD debe describirse mediante atributos verificables, no con expresiones como «la mayoría de las carreteras» o «condiciones meteorológicas normales».
Tres patrones de dominio distintos
Nivel 2 para consumidores
Una función de nivel 2 puede utilizarse en una red viaria amplia. La persona vigila el entorno y puede compensar muchas limitaciones, por lo que la función puede solicitar una intervención inmediata.
Esa amplia disponibilidad no la convierte en autónoma. La persona forma parte del concepto operativo.
Nivel 3 de producción
Las funciones actuales de nivel 3 emplean dominios de autopista estrictamente delimitados. Los límites pueden incluir países aprobados, calzadas divididas, velocidad, tráfico precedente, condiciones meteorológicas, iluminación, zonas de obras y disponibilidad de un usuario preparado para retomar el control.
El dominio más limitado reduce la variedad de situaciones que debe gestionar el sistema de conducción automatizada y hace más previsibles las condiciones de transición.
Servicio de flota de nivel 4
Un robotaxi puede prescindir del conductor humano dentro de una zona de servicio cartografiada porque el sistema operativo completo abarca más que el vehículo. La cartografía, la asignación de servicios, el mantenimiento de la flota, la carga, la limpieza de sensores, la asistencia remota, la respuesta a incidentes y los procedimientos operativos locales respaldan el dominio.
Ampliar un servicio de nivel 4 implica, por tanto, validar un nuevo dominio y sus operaciones. No basta con copiar el mismo software en otra ciudad.
Detección del dominio y salida
El sistema debe saber si está dentro de su ODD y si se aproxima a un límite. Para ello necesita pruebas en tiempo real, no solo una coordenada en un mapa.
La vigilancia del dominio puede utilizar la clasificación de la vía, la confianza en la localización, la velocidad, los datos meteorológicos, la percepción a bordo, la calidad de los carriles, el diagnóstico de los sensores y el estado del vehículo. El sistema necesita márgenes para poder responder antes de que una condición sea insegura.
En el nivel 2, abandonar las condiciones admitidas significa que el conductor debe recuperar el control total. En el nivel 3, el sistema puede pedir que intervenga el usuario preparado para retomar el control y necesita una respuesta de reducción del riesgo si este no lo hace. En el nivel 4, debe alcanzar una condición de riesgo mínimo sin depender de un conductor.
Una condición de riesgo mínimo depende del contexto. Puede significar detenerse en un refugio seguro, apartarse a un lado, completar una maniobra a baja velocidad o detenerse en el carril si no existe una opción más segura. La «parada segura» no debe considerarse un comportamiento universal.
La geovalla es solo una parte
Una geovalla es un límite geográfico. Un ODD es más amplio. También incluye condiciones dinámicas como el tiempo, la visibilidad, el tráfico y las obras viales.
Los mapas HD pueden codificar la geometría de los carriles, los controles de tráfico y la estructura vial prevista, pero envejecen. Las obras, los cierres y las señales temporales pueden hacer que la situación real difiera de la representación almacenada. Un vehículo automatizado debe conciliar la información del mapa con la percepción a bordo y las actualizaciones operativas.
La asistencia remota puede proporcionar información contextual cuando un vehículo sin conductor se enfrenta a una situación inusual. No cambia el papel de nivel 4 si la persona remota no realiza continuamente la tarea de conducción. La distinción entre asistencia remota y conducción remota debe ser explícita.
Cómo comparar dominios
Para compradores y responsables políticos, la cobertura del dominio debe expresarse como condiciones, no como una única cifra de kilómetros cartografiados. La cantidad de carreteras dice poco sobre:
- la frecuencia con la que la función está realmente disponible;
- si funciona en la oscuridad o con precipitaciones;
- qué intersecciones, obras y cambios de carril admite;
- el intervalo de velocidades;
- cómo gestiona el bloqueo de sensores o la pérdida de localización; y
- qué ocurre en el límite.
La mejor documentación del producto hace visibles las condiciones de disponibilidad y salida antes de la compra e inequívocas durante la conducción. Si el conductor no puede explicar cuándo se desactivará el sistema, el dominio no se ha comunicado con suficiente claridad.